फेसबुक में एक नई भेद्यता उपयोगकर्ताओं के व्यक्तिगत डेटा के रिसाव की ओर ले जाती है

चित्र: Pexels

सूचना सुरक्षा शोधकर्ताओं ने सोशल नेटवर्क फेसबुक में एक भेद्यता की खोज की - इस त्रुटि से उपयोगकर्ताओं और उनके दोस्तों के बारे में गोपनीय जानकारी लीक हो सकती है। सोशल नेटवर्क सर्च फंक्शन में त्रुटि पाई गई।

क्या समस्या है

इंपर्वा के शोधकर्ता रॉन मासास के अनुसार, खोज परिणामों को प्रदर्शित करने वाले पृष्ठ में खोज परिणामों से संबंधित iFrame तत्व शामिल हैं। इन iFrames के अंतिम URL किसी भी तरह से क्रॉस-साइट अनुरोध जालसाजी, सीएसआरएफ हमलों से सुरक्षित नहीं हैं)।

एक भेद्यता का फायदा उठाने के लिए, एक हमलावर को उपयोगकर्ताओं को एक विशेष साइट पर जाने की आवश्यकता होती है। यह महत्वपूर्ण है कि उपयोगकर्ता अपने फेसबुक प्रोफाइल में लॉग इन हो। पृष्ठभूमि में एक वेब पेज पर कोई भी क्लिक जावास्क्रिप्ट कोड निष्पादित करेगा। यह कोड फेसबुक यूआरएल के साथ एक नया टैब खोलता है, जिसमें हमलावर के लिए आवश्यक जानकारी प्राप्त करने के लिए एक पूर्व निर्धारित अनुरोध निष्पादित किया जाता है।



इस हमले का उपयोग "छुट्टी से फोटो", और अधिक संवेदनशील डेटा निकालने के लिए जैसी जानकारी खोजने के लिए किया जा सकता है:

• उपयोगकर्ता के नाम में एक विशिष्ट नाम या कीवर्ड के साथ दोस्त हैं;
• उपयोगकर्ता को कौन से पृष्ठ पसंद हैं और वह किन समूहों में है;
• क्या उसके पास किसी विशिष्ट पृष्ठ का अनुसरण करने वाले मित्र हैं?
• कुछ स्थानों या देशों से फ़ोटो की उपस्थिति;
• क्या उपयोगकर्ता ने विशिष्ट कीवर्ड वाले पोस्ट किए हैं
• क्या उसके पास किसी विशेष धर्म के दोस्त हैं?
• आदि

इस प्रकार, भेद्यता संवेदनशील उपयोगकर्ता डेटा का खुलासा करती है, भले ही वे गोपनीयता सेटिंग्स सेट करें जो बाहरी लोगों को इस तरह की जानकारी के प्रकटीकरण पर रोक लगाते हैं।

नई टैब खोलने की आवश्यकता के बिना प्रक्रिया को कई बार दोहराया जा सकता है। नतीजतन, यह हमला मोबाइल उपयोगकर्ताओं के लिए सबसे बड़ा खतरा है - नए टैब के उद्घाटन को ट्रैक करना उनके लिए अधिक कठिन है।

खुद की सुरक्षा कैसे करें

शोधकर्ताओं ने फेसबुक की ओर रुख किया, और कंपनी ने पहले ही भेद्यता तय कर दी है। सोशल नेटवर्क इंजीनियरों ने सीएसआरएफ हमलों के खिलाफ सुरक्षा को जोड़ा।

जब सेवाओं और उत्पादों की उच्च मांग के कारण विकास को धारा पर रखा जाता है, तो अधिक से अधिक डेवलपर्स निरंतर एकीकरण और वितरण (CI / CD) प्रक्रियाओं को शुरू कर रहे हैं। CI / CD का एक अभिन्न हिस्सा सॉफ्टवेयर के विकसित होने की सुरक्षा है। कमजोरियों की सही पहचान करना और उन्हें खत्म करना विशेष रूप से महत्वपूर्ण है। हालांकि, व्यवहार में, सब कुछ इतना सरल नहीं है।

कई लोग गलती से मानते हैं कि कोड की गुणवत्ता का विश्लेषण सॉफ्टवेयर की जांच करने के लिए पर्याप्त है, जिसमें सुरक्षा जोखिम भी शामिल है। और जो लोग समझते हैं कि ऐसा नहीं है, और सुरक्षा विश्लेषण उपकरणों का सहारा लेते हैं, भेद्यता सत्यापन की समस्या का सामना करते हैं। यह आमतौर पर मैन्युअल रूप से किया जाता है, और इस तथ्य को ध्यान में रखते हुए कि कमजोरियों की संख्या सैकड़ों और हजारों तक पहुंच सकती है, सीआई / सीडी प्रक्रिया की प्रभावशीलता और इसके समर्थन की व्यवहार्यता एक बड़ा सवाल बन जाती है।

सकारात्मक प्रौद्योगिकी अनुप्रयोग सुरक्षा विभाग के विशेषज्ञ एलेक्सी झुकोव गुरुवार 22 नवंबर को दोपहर 2:00 बजे एक मुफ्त वेबिनार का आयोजन करेंगे। इसके पाठ्यक्रम में, आप सीखेंगे कि कैसे सुनिश्चित करें कि निरंतर प्रक्रियाओं में, बड़ी मात्रा में और जलती हुई समय सीमा, सुरक्षा दोषों का ध्यान नहीं जाता है और उनका सत्यापन एक अड़चन नहीं बनता है। एलेक्सी सॉफ्टवेयर सुरक्षा सुनिश्चित करने की प्रक्रिया को स्वचालित रूप से स्वचालित करने और बुनियादी कार्यों को करने की दक्षता बढ़ाने के बारे में बात करेंगे। वेबिनार डेवलपर्स और DevOps विशेषज्ञों के लिए उपयोगी होगा।

वेबिनार में भाग लेने के लिए आपको पंजीकरण करना होगा ।